Security voor kantoren, bedrijven en winkels. Bespaar op kosten, niet op veiligheid. Bewaak eigendommen, bewaak het netwerk

Transcriptie

1 Security voor kantoren, bedrijven en winkels Bespaar op kosten, niet op veiligheid Bewaak eigendommen, bewaak het netwerk Bedrijfsnetwerken van instellingen. Gesloten netwerken. Klantspecifieke systemen. Publieke netwerken

2 WEBWAY: BEVEILIGDE NETWERKTOEPASSINGEN De opzet van het systeem WebWay biedt alarmoverdracht via de aanwezige publieke of particuliere netwerkverbindingen. Deze werkwijze beperkt de operationele kosten, verhoogt de beveiliging en biedt het beveiligingssysteem mogelijkheden voor onderhoud op afstand. Het systeem is geschikt voor elke netwerksamenstelling zonder beperkingen op het gebied van functionaliteit of beveiliging. Systeemarchitectuur Het WebWay systeem en de netwerkarchitectuur bestaat uit de volgende onderdelen: - WebWay IP/GPRS-communicatiemodule voor alarminstallaties - Programmeerbaar voor DHCP of vaste IP adressering - MAC-adres leverbaar op aanvraag - Locale router - Standaard Gateway adres - Subnet Mask - Keuzemogelijkheden voor het berichtenverkeer tussen een particulier netwerk en WebWay MCT - Via bedrijfs-firewall(s) en publiek internet - Via VPN (Virtual Private Network) - Via particuliere kabelverbinding naar gemeenschappelijke WebWay ontvangstsystemen - Via particuliere kabelverbinding naar specifieke WebWay ontvangstsystemen - WebWay ontvangstplatform (gemeenschappelijk of klantspecifiek) - WebWay MCT (Monitoring Centre Transceiver) bestaande uit: - WebWay geleid Linux OS - WebWay geleide Gateway-programmatuur - 2 of 4 flexibel gekoppelde servers - WebWay's gecodeerde software voor communicatiebeheer - WebWay Command Centre voor actuele diagnose van het berichtenverkeer - WebWay Remote Manager regelt de toegang tot alarmpanelen via WebWay MCT. Overzicht van het communicatieverkeer Tijdens het installeren maakt de WebWay IP/GPRS-communicatiemodule een uitgaande UDP/IP-verbinding met de WebWay MCT. Indien berichten via internet op weg naar WebWay MCT de bedrijfs-firewall passeren zal die firewall de verbinding markeren als "Toestaan" en daardoor die verbinding open houden voor retourberichten tot de daarvoor beschikbare tijd is verstreken. WebWay IP/GPRS-communicatiemodules pollen elke 30 seconden het IP-netwerkpad vanaf de beveiligde locatie naar WebWay MCT waarmee tevens het retourpad van de MCT naar de IP/GPRS tijdelijk wordt geopend. WebWay MCT initieert zelf geen inkomende verbindingen. Alle opdrachten, gegevens of wijzigingen in de programmering worden vanuit de WebWay MCT in een pakket verzonden. De WebWay MCT "wacht" met het verzenden van dit pakket op de poll van de IP/GPRS waarmee een retourverbinding wordt geopend. U hoeft dus nooit zelf een directe verbinding te maken met de WebWay IP/GPRS-communicatiemodule of met het netwerk van de opdrachtgever. 2

3 WEBWAY BERICHTENBEVEILIGING WebWay Secure Private Link (WSPL) De WebWay accepteert alleen gecodeerde en opeenvolgende berichten van de vooraf toegewezen servers bij de meldkamer(s). WebWay MCT's zullen dergelijke berichten alleen accepteren van de WebWay communicators die aan het account gekoppelde zijn. Elke WSPL kan bestaan uit meerdere DSL- en GPRSpaden. Ongecodeerde berichten worden niet geaccepteerd. Beheer van de codesleutel De unieke, geheime, codesleutel wordt voor elke WebWay automatisch gegenereerd tijdens de productie. Dit proces voegt een willekeurig gegenereerde codesleutel van 128 bits toe aan het unieke serienummer van elke WebWay. Wanneer een WebWay naar de klant wordt verzonden, wordt de unieke codesleutel automatisch via een gecodeerde verbinding naar de betreffende ontvangers van de meldkamer gezonden. WebWay codering van berichten Alle WebWay berichten (polls, alarmmeldingen, wijzigingen, bediening op afstand enz.) worden volgens de AES128 standaard gecodeerd. Dit proces is conform EN en de voorgestelde Europese standaard voor signaaloverdracht via IP netwerkprotocollen EN : Beveiliging van de berichten Alle WebWay berichten zijn op volgorde gerangschikt ter voorkoming van onjuiste berichtgeving. Beveiliging van de apparatuur Elk WebWay apparaat heeft een unieke code en kan niet gedupliceerd worden. U kunt wel een WebWay opnieuw gebruiken bij een andere meldkamer, of verplaatsen naar een andere locatie. Daarbij wordt gebruikgemaakt van het geautoriseerde WebWay vervangingsproces. MAC-adres WebWay kan op verzoek het MAC-adres van de WebWay apparatuur aanleveren. 3

4 WEBWAY BANDBREEDTE EN POLLING FREQUENTIE WebWay werkt met het UDP/IP protocol voor het verzenden van alle alarmmeldingen, berichten, beheer en polling. Het WebWay protocol met de hogere niveaus biedt een toegevoegde waarde aan de verzending en de beveiliging van berichten die vereist is voor hi-risk situaties waarbij gebruikgemaakt wordt van een netwerk. Ongeacht de voor dat netwerk toegepaste technologie. Het toepassen van het WebWay protocol houdt tevens in dat alle alarmmeldingen, berichten, beheersinformatie, onderhoud, status van het netwerk en actuele tijdmeldingen gerangschikt en gecodeerd tot een pakket worden samengevoegd. UDP reduceert de grootte van een bericht aanzienlijk en biedt zodoende een bandbreedte van 160 bytes voor twee-richtingsverkeer. Dit drukt de kosten van GPRS en maakt een hogere polling frequentie van het draadloze kanaal mogelijk. CENELEC (Europa) en SIA (VS) geven de voorkeur aan het UDP/IP protocol. Het WebWay polling profiel (conform EN normeringen en voorkeuren) - IP netwerkpad Elke 30 seconden - GPRS netwerkpad Elke 30 minuten, indien IP netwerkpad operationeel - GPRS netwerkpad Elke 60 seconden, indien storing op het IP netwerkpad De duur van "stepped up polling" is 96 uur of volgens specificatie Aan het begin en aan het einde van de werktijd/-dag verzendt elke beveiligde locatie een Aan/Uit-bericht waarbij de invloed op de bandbreedte minimaal is (slechts 160 bytes per bericht). 4

5 WEBWAY MCT Uitbreidingsmogelijkheden en betrouwbaarheid Het WebWay-systeem is ontworpen voor maximale beveiliging, beschikbaarheid en schaalvergroting. Elke WebWay IP/GPRS-communicatiemodule communiceert met meerdere WebWay MCT's. Meldkamers installeren tenminste 1 WebWay MCT voor iedere geografische locatie. Dikwijls gebruiken meldkamers een primaire - en een schaduwarchitectuur in de hoofdmeldkamer met een derde WebWay MCT in de backupmeldkamer. Het gebruik van UDP/IP als transmissieprotocol biedt de volgende voordelen: - WebWay controleert het mechanisme voor een tweede poging als berichten geblokkeerd worden door storing of verlies, hetgeen leidt tot een snellere identificatie van een alarmmelding en de besluitvorming. - Lagere belasting van het ontvangstplatform dan bij TCP/IP. - Tot vijf maal minder bandbreedte nodig dan bij TCP/IP. Dit vermindert de belasting van het netwerk en de kosten voor GPRS. Het gebruik van een Gentoo Linux als OS voor onze WebWay MCT biedt de volgende voordelen: - Hoge veiligheidsnorm, uitbreidbaar en algemeen beschikbaar. - Minder apparatuur noodzakelijk. - Bijwerken/vernieuwen van software en onderhoud op afstand. Beschikbaarheid Elke WebWay MCT communiceert met zijn netwerk dat uit tenminste 2 MCT's bestaat. Een onderhoudsmonteur kan veilig inloggen op elke WebWay MCT en zowel de actuele status als de geschiedenis van elke WebWay IP/GPRS-communicatiemodule opvragen die aan zijn account gekoppeld is. Een WebWay IP/GPRS-communicatiemodule heeft het concept van een primaire MCT, echter de netwerken van de WebWay MCT's zijn zelf volledig gesynchroniseerd zonder "Master". Indien de verbinding van een WebWay MCT of van zijn totale netwerk wegvalt, dan maken de WebWay IP/GPRS-communicatiemodules van dat systeem automatisch contact met de voorgeprogrammeerde secundaire of tertiaire systemen. Het toepassen van actuele tijd synchronisatie zorgt ervoor dat, als een systeem uitvalt de totale geschiedenis van elke verbinding van dat systeem op elk moment beschikbaar is in elke WebWay MCT. De synchronisatie van de gegevens kan plaatsvinden, hetzij via de infrastructuur van de meldkamer, hetzij via internet, of via het klantspecifieke netwerk van de opdrachtgever. WebWay ondersteuning MCT-systemen WebWay biedt 24/7 ondersteuning en onderhoud van alle WebWay MCT systemen inclusief het Gentoo Linux OS. Onderhoud van het systeem door de meldkamer (of eindgebruiker met particuliere specifieke WebWay MCT's) is niet nodig, tenzij anders gewenst. 5

6 WEBWAY ONDERHOUDBEHEER Toegang tot gemeenschappelijke WebWay MCT-systemen De WebWay MCT is alleen toegankelijk voor daartoe bevoegde apparatuur die aangestuurd wordt door de WebWay beheerinterface of via het programma voor beheer op afstand. Het laden van een van deze applicaties in een apparaat kan alleen plaatsvinden na authorisatie en het vrijgeven van de licentiecodes. Deze licentiecode koppelt de software aan het apparaat. Alle toegang tot de WebWay MCT gaat via SSH-2 met AES codering (met gebruikmaking van publieke/particuliere codes). Elke toegang wordt vastgelegd en opgeslagen in elke WebWay server van de meldkamer. Toegang tot specifieke WebWay MCT-systemen Wanneer de WebWay MCT in het gesloten netwerk en de bedrijfsmeldkamer van de opdrachtgever is geïnstalleerd, of als de WebWay MCT in een publieke meldkamer op specifieke apparatuur is aangesloten, kunnen alternatieve toegangsmethodes voor WebWay dienstverlening worden afgesproken als mocht blijken dat onze standaard methodiek buiten de beveiligingsprocedures voor IT van de opdrachtgever valt. Ad hoc toegang De opdrachtgever kan er voor kiezen om de toegang via SSH-2 door de technische dienst van WebWay of een andere bevoegde partij alleen op verzoek toe te staan. WEBWAY VERIFICATIETRAJECT De WebWay IP/GPRS-communicatiemodule bevat een locaal logboek van alle gebeurtenissen. Het logboek heeft een capaciteit van meldingen en kan door de WebWay MCT gedownload worden. De WebWay MCT bevat een logboek van alle gebeurtenissen, toegangen enz. van elke WebWay IP/GPRScommunicatiemodule. Het logboek kan miljarden evenementen beheren en wordt in zijn omvang alleen beperkt door de capaciteit van de harde schijf en archiveringsprocedures. Deze procedures zijn dagelijks werk voor onze partners van de meldkamers. Wij werken dan ook nauw met hen samen om er voor te zorgen dat alle relevante gegevens op de juiste wijze worden beheerd. 6

7 WEBWAY NETWERKSCHEMA - WebWay IP/GPRS-communicatiemodule configureert automatisch via GPRS op basis van de gegevens van voorgeprogrammeerde WebWay MCT's. - WebWay IP/GPRS-communicatiemodule stelt uitgaande UDP/IP pakketten samen voor het bestemmingsadres van de WebWay MCT. - Particuliere firewall verzendt het UDP/IP pakket en markeert de verbinding als "Toestaan". - Particuliere firewall controleert de duur van de verbinding zodat WebWay UDP/IP berichten terug kunnen komen van de bestemmingen. - WebWay IP/GPRS-communicatiemodule pollt voortdurend en houdt daarmee de verbindingsroute open voor de daarop aangesloten bronnen. - Geen toegang tot WebWay IP/GPRS-communicatiemodule via IP of GPRS door andere bronnen. - Geen toegang voor pakketten die niet WebWay UDP/IP zijn gecodeerd. Het protocol is beveiligd tegen vervangende gegevens. 7

8 KLAAR VOOR EEN WEBWAY NETWERK Voorafgaand aan de opzet van een grootschalig project kan een proef worden geleverd hetzij op locatie bij de opdrachtgever of als simulatie. Als de topologie van het netwerk informatie via de bedrijfs firewall over het publieke internet moet leveren zijn de onderstaande gegevens gewenst: Op de locatie moet gereed zijn: - Een actieve Ethernet aansluiting/-poort - Voeding, hetzij via het alarmpaneel, hetzij de aanwezige netspanning De bedrijfs firewall(s) dienen alsvolgt te zijn ingesteld: Firewall voor het verzenden van UDP/IP verkeer naar: Bestemming adres 1... poort Bestemming adres 2... poort De meldkamer van uw keuze is... WebWay heeft de volgende gegevens van het locale netwerk nodig: DHCP Ja / Nee Vast IP adres... Subnet Mask... Standaard gateway... WebWay MAC-adres gewenst Ja / Nee WebWay heeft de volgende gegevens van uw beveiligingsinstallateur nodig: - ID van de locatie - Adres van de locatie - Type alarmpaneel 8

9 WEBWAY TERMINOLOGIE WebWay IP/GPRS WebWay MCT WebWay Command Centre WebWay Remote Management Poll AMS WebWay communicatiemodule. WebWay Monitoring Centre Transceiver. Een combinatie van een Linux server platform en WebWay programmatuur voor het beheer van communicatie en WebWay apparatuur. De WebWay beheer-interface voor WebWay MCT. WebWay programmatuur voor het omzetten van serieel naar IP met een gecodeerde en met wachtwoord beveiligde toegang. Hiermee maakt u via WebWay MCT een verbinding tussen de software van het alarmpaneel op de locatie. Een berichtoverdracht tussen de WebWay IP/GPRS-communicatiemodule en WebWay MCT. Verifieert de eind-eind aansluiting en transporteert gegevens van en naar de WebWay IP/GPRScommunicatiemodule. Alarm Management Systeem. Programmatuur van de meldkamer voor het afhandelen van alarmmeldingen. 9